CVE-2025-10184
OnePlus OxygenOS Telephony provider обход разрешений
- Опубликовано
- 23 сент. 2025 г.
- Обновлено
- 23 сент. 2025 г.
- Назначение CNA
- rapid7
- Наблюдены доказательства
- 25 авг. 2026 г.
Первичный CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XНизкий · следующие 30 дней
- Процентиль
- 90,4 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Уязвимость позволяет любому установленному на устройстве приложению читать данные SMS/MMS и метаданные из системного провайдера Telephony без разрешения, взаимодействия с пользователем или его согласия. Пользователь также не уведомляется о том, что данные SMS доступны для чтения. Это может привести к раскрытию конфиденциальной информации и фактически свести на нет защиту, обеспечиваемую проверками многофакторной аутентификации (MFA) на основе SMS. Корневая причина — сочетание отсутствия разрешений на операции записи в нескольких контент-провайдерах (com.android.providers.telephony.PushMessageProvider, com.android.providers.telephony.PushShopProvider, com.android.providers.telephony.ServiceNumberProvider) и слепой SQL-инъекции в методе update этих провайдеров.
Источники
Android APK proof-of-concept для CVE-2025-10184, демонстрирующий обход разрешения на чтение SMS в телекоммуникационных провайдерах OPPO/OnePlus. Включает исходный код, детали проверки и ручное исправление уязвимости.
Эксплойт proof-of-concept для CVE-2025-10184, демонстрирующий обход разрешений в провайдере Telephony в OxygenOS на устройствах Android.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.